La revue de sécurité avec Claude Code : d’un diff au dépôt entier

Ce que Claude Code fait pour la revue de sécurité

• Il vérifie chaque changement avant le merge : injections, autorisations manquantes, données exposées et secrets dans le code.
• Il analyse tout le dépôt selon un planning et rapporte ses résultats avec des preuves, pas de simples avertissements.
• Il transforme les résultats confirmés en correctifs ou en tickets, les plus graves d’abord.
• Il revérifie un correctif pour confirmer qu’il bouche bien la faille.

Les fonctionnalités de Claude Code pour la revue de sécurité

Comment configurer Claude Code pour la revue de sécurité

1. Connectez les outils

   /security-review fonctionne dans toute session qui a un remote origin. Pour des analyses complètes, installez le plugin Claude Security depuis la marketplace officielle ; il nécessite Python 3.9 ou plus récent et une offre payante ou un accès à l’API.

   # Dans une session Claude Code : installer le scanner
   /plugin install claude-security@claude-plugins-official
   
   # Analyser votre branche avant le merge, en effort high
   /claude-security scan my branch at high

2. Écrivez les règles dans CLAUDE.md

   Claude Code lit CLAUDE.md au début de chaque session, y compris lors des exécutions claude -p. Mettez-y les règles de la tâche, ou dans une skill sous .claude/skills/ si elles sont longues. Voir le guide de CLAUDE.md.

   ## Règles de revue de sécurité
   - Relis chaque pull request qui touche auth/, billing/ ou du SQL.
     Cherche les injections, les contrôles d’autorisation manquants,
     les secrets dans le code et les données renvoyées au mauvais
     utilisateur.
   - Classe chaque résultat en critique, élevé, moyen ou faible, avec
     le fichier, la ligne et la façon dont il pourrait être exploité.
   - Ne lance jamais d’exploit contre la production ou contre quoi que
     ce soit qui ne nous appartient pas. Lis le code et teste en local.
   - Ouvre les correctifs sous forme de pull requests ; ne pousse
     jamais sur main.

3. Lancez-le sans l’interface interactive

   claude -p exécute une tâche puis s’arrête : cron, la CI ou un autre outil peut donc le lancer. Choisissez ce qu’il peut faire sans demander avec --allowedTools ou --permission-mode ; --output-format json renvoie le résultat avec son coût.

   # Une passe de sécurité sur la branche depuis la CI ou cron
   claude -p "Lance /security-review sur cette branche et liste les résultats par gravité" \
     --output-format json > security-review.json

4. Planifiez-le

   Faites-en une tâche planifiée dans le cloud avec /schedule (Pro, Max, Ultra, Team et Enterprise), une tâche planifiée de bureau, ou utilisez /loop tant qu’une session reste ouverte. Voir comment rendre Claude Code proactif.

Source : documentation de Claude Code

Limites et sécurité

• Il lit le code de votre checkout, pas votre site en production : il ne repérera pas un serveur mal configuré.
• Les analyses ne sont pas déterministes : deux exécutions peuvent faire ressortir des résultats différents. Lancez-les régulièrement, pas une seule fois.
• Il complète vos scanners et vos alertes de dépendances. Il ne les remplace pas, pas plus qu’un test d’intrusion.
• Depuis Claude Code v2.1.302, claude -p démarre en mode manuel (Manual) : une action qui demande une validation est refusée, sauf si une règle l’autorise. N’autorisez que les outils dont la tâche a besoin.

Claude Code ou Codex pour la revue de sécurité ?

Les règles se transposent. Écrivez-les une fois dans AGENTS.md et mettez @AGENTS.md dans CLAUDE.md : les deux agents lisent alors le même fichier.

Pas à pas pour l’autre agent : la revue de sécurité avec Codex.

Confiez la revue de sécurité à quelqu’un dont c’est le travail

Les commandes tournent quand quelqu’un pense à les lancer. Crewmark transforme votre propre Claude Code en employé IA doté d’un rôle, d’un objectif chiffré, d’horaires de travail et d’une pulsation : le travail se fait selon un planning et apparaît sur un tableau.

1. Partez du rôle

   Prenez l’ingénieur logiciel IA et mettez ces règles dans sa fiche de poste.

2. Mettez le travail sur son tableau

   Ajoutez la tâche comme ticket récurrent. L’employé se réveille au rythme de sa pulsation, l’accomplit et rend compte dans un commentaire.

3. À voir aussi

   Pour les bugs qui ne relèvent pas de la sécurité, voir la revue de code.

FAQ